Acht Monate NIS-2: Mehrere Studien zeigen dieselben Umsetzungshürden – CONSUVATION liefert die praktischen Antworten

PRESSEMITTEILUNG

Sindelfingen, 11. August 2026

Acht Monate NIS-2: Mehrere Studien zeigen dieselben Umsetzungshürden – CONSUVATION liefert die praktischen Antworten

Dokumentation, Meldewesen, Risikomanagement, Betroffenheitsprüfung und Lieferkette bleiben laut mehreren aktuellen Studien die größten Stolpersteine – CONSUVATION begegnet ihnen mit einer durchgängigen IT-Lösung aus Prozessmodell, Software, Richtlinien, E-Learning-Portal und Dashboard und steht Unternehmen dauerhaft als externer Beauftragter zur Seite, statt nur einzelne Beratungsleistungen zu erbringen

Sindelfingen – Acht Monate nach Inkrafttreten der NIS-2-Regulierung zeichnen mehrere unabhängige Studien dasselbe Bild: NIS-2 ist in der Wirtschaft angekommen, die praktische Umsetzung bleibt für viele Unternehmen aber weiterhin anspruchsvoll. Eine aktuelle Kurzabfrage des eco – Verband der Internetwirtschaft e.V. unter 38 Unternehmen aus dem Sicherheitsumfeld zeigt das ebenso wie der „Cyber Security Report 2026“ von Schwarz Digits unter gut 1.000 deutschen Unternehmen und eine europaweite Befragung von CyberSmart unter 670 Führungskräften. Selbst Unternehmen, die sich bereits intensiv mit Cybersicherheit befassen, bewerten Registrierung und laufende Pflichten als belastend – ein Signal, das die CONSUVATION GmbH aus ihrer täglichen Beratungspraxis seit Monaten bestätigt bekommt. Der Grund liegt aus Sicht von CONSUVATION selten am fehlenden Willen, sondern am fehlenden Fachwissen im eigenen Haus: Vielen Unternehmen, insbesondere im Mittelstand, stehen das nötige Compliance- und Informationssicherheits-Know-how schlicht nicht dauerhaft zur Verfügung. CONSUVATION begegnet dem nicht mit punktuellen Beratungsprojekten, sondern übernimmt die Rolle des externen Beauftragten selbst und bringt damit das fehlende Wissen dauerhaft ins Unternehmen.

Die Duldung ist ausgelaufen – jetzt zählt die tatsächliche Umsetzung

Was in der öffentlichen Wahrnehmung oft als „Fristverlängerung“ verstanden wurde, war rechtlich nie eine Umsetzungsfrist: Die gesetzliche Registrierungspflicht nach § 33 BSIG endete bereits am 6. März 2026, drei Monate nach Inkrafttreten des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes. Weil sich bis dahin nur ein Bruchteil der rund 29.500 betroffenen Unternehmen gemeldet hatte, gewährte das BSI lediglich eine Vollzugskulanz bis zum 31. Juli 2026 – eine Duldung verspäteter Meldungen, keine neue gesetzliche Frist. Diese Duldungsfrist ist inzwischen abgelaufen, und aktuelle Zahlen zeigen: Der Rückstand wächst weiter, statt zu schrumpfen – zuletzt waren erst rund 18.845 der etwa 29.500 erwarteten Stellen beim BSI registriert. Der Verstoß gegen die Registrierungspflicht bleibt eine bußgeldbewehrte Ordnungswidrigkeit mit einem Rahmen von bis zu 500.000 Euro, und mit dem Ende der Kulanzphase ist eine konsequentere Kontrolle durch das BSI zu erwarten. Für viele Unternehmen bedeutet das: Die Zeit, die sie faktisch als Vorbereitungsphase genutzt haben, ist formal längst verstrichen – gefordert war Umsetzung zum Stichtag, nicht erst danach.

Ein Muster über mehrere Studien hinweg

Nach Angaben des eco benennen die befragten Unternehmen vier zentrale Problemfelder: Nachweispflichten und Audits (rund 26 Prozent der Nennungen), Meldeprozesse mit ihren 24-/72-Stunden-Fristen (rund 25 Prozent), Risikoanalyse und Risikomanagement (rund 21 Prozent) sowie ein als komplex empfundener Registrierungsprozess selbst – über ein Drittel der bereits beim BSI registrierten Unternehmen stuft ihn als „sehr kompliziert“ ein. Hinzu kommt ein spürbarer Mehraufwand: Kein einziges befragtes Unternehmen gibt an, ohne zusätzlichen Aufwand durch NIS-2 auszukommen; nur rund 18 Prozent haben die Anforderungen bereits vollständig umgesetzt.

Andere Erhebungen zeichnen ein ähnliches Bild – teils mit einem zusätzlichen, besonders kritischen Befund: Laut dem „Cyber Security Report 2026“ von Schwarz Digits schätzt fast jedes zweite Unternehmen (48 Prozent) seine eigene NIS-2-Betroffenheit fälschlicherweise falsch ein und hält sich für nicht reguliert, obwohl es die Kriterien erfüllt; gleichzeitig fühlen sich 62 Prozent von den Behörden bei der NIS-2-Einführung unzureichend unterstützt. Eine europaweite Befragung von CyberSmart unter 670 Führungskräften kommt zu einem vergleichbaren Ergebnis: Nur 16 Prozent der Verantwortlichen fühlen sich vollständig auf NIS2 vorbereitet, 11 Prozent sind sich unsicher, was die Richtlinie für ihr Unternehmen überhaupt bedeutet.

Ulrich Plate, Leiter der eco-Kompetenzgruppe KRITIS, bringt den Bedarf auf den Punkt: Unternehmen benötigten keine abstrakten Pflichtenhefte, sondern klare Prioritäten und handhabbare Umsetzungshilfen. Genau hier setzt CONSUVATION seit Jahren an.

CONSUVATION macht aus Pflichtenheften Prozesse und pragmatische Lösungen zur operativen Umsetzung

Für jede der in den Studien identifizierten Hürden hat CONSUVATION erprobte, unmittelbar einsetzbare Lösungen im Portfolio:

▪ Betroffenheitsprüfung: Bevor Dokumentation oder Meldewesen überhaupt relevant werden, klärt CONSUVATION die eigene Betroffenheit rechtssicher – angesichts der fast 48 Prozent der Unternehmen, die ihre NIS-2-Pflicht laut Schwarz Digits bislang falsch einschätzen, oft der wichtigste erste Schritt.

▪ Dokumentation & Nachweise: Bilinguale, praxiserprobte NIS-2-Dokumentbibliotheken sowie Nachweislisten und Checklisten je Rolle (DSB, ISB, KI-Beauftragter) – statt allgemeiner Vorlagen konkrete, prüfungssichere Nachweise.

▪ Meldewesen: Unternehmen melden Sicherheitsvorfälle über die CONSUVATION-Plattform – CONSUVATION übernimmt als externe NIS-2-Beauftragte die Abwicklung der Meldeprozesse gegenüber den Behörden innerhalb der 24-/72-Stunden-Fristen, statt dass die Fristen im Tagesgeschäft der Unternehmen selbst verwaltet werden müssen.

▪ Risikoanalyse & Risikomanagement: Strukturierte Risikoanalyse- und Bewertungslogiken auf Basis von ISO 27001 und ISO 31000, mit Korrelationsmatrizen, die Aufwand und Priorität transparent machen.

▪ Lieferkettenmanagement: Eine aus jahrelanger Beratungspraxis entwickelte, risikobasierte Lieferanten-Auditmethodik mit A/B/C-Klassifizierung, KO-Kriterien und Aufwandsschätzung – für Unternehmen, die NIS-2-Anforderungen entlang der gesamten Lieferkette nachweisen müssen.

▪ Nachweispflichten & Audits: Dank eigener Auditorentätigkeit im Auftrag von Zertifizierungsstellen (u. a. DEKRA) für ISO 27001, ISO 27701, ISO 22301 und ISO 9001 kennt CONSUVATION die Prüfperspektive aus erster Hand.

▪ Chefsache NIS-2: Als externer DSB/ISB im Mandat verankert CONSUVATION NIS-2 dauerhaft in der Governance – als Führungs- und Resilienzthema, nicht als einmaliges Projekt.

▪ Einstieg oder ISMS-Integration: Für Unternehmen, die bei NIS-2 bei null anfangen, bietet CONSUVATION einen strukturierten Neuaufbau. Für Unternehmen mit bestehendem Informationssicherheits-Managementsystem nach ISO 27001 oder TISAX steht eine eigene Integrationslösung bereit – denn ein bestehendes ISMS deckt NIS-2-Anforderungen erfahrungsgemäß nur teilweise ab und muss gezielt ergänzt werden, statt komplett neu aufgesetzt zu werden. Das bestätigt auch das BSI selbst auf seiner Themenseite zu ISO/IEC 27001 im Kontext von NIS-2: Der Norm fehlen explizite gesetzliche Pflichten wie die Melde- und Registrierungspflichten sowie die Schulungspflicht der Geschäftsleitung, weshalb eine ISO-27001-Zertifizierung ausdrücklich nicht als Nachweis der NIS-2-Konformität gilt.

▪ Tempo durch Erfahrung: Weil CONSUVATION auf jahrelange Beratungs- und Auditerfahrung sowie bereits entwickelte Methodik und Werkzeuge zurückgreift, kommen Mandanten spürbar schneller zu einer belastbaren NIS-2-Umsetzung als mit einem bei null gestarteten Projekt.

Nicht nur Beratung: eine durchgängige IT-Lösung

Der entscheidende Unterschied zu klassischer Einzelfall-Beratung: CONSUVATION liefert die Umsetzung nicht nur als Konzept, sondern als durchgängige, sofort einsetzbare Plattform aus fünf ineinandergreifenden Bausteinen: einem bewährten Prozessmodell, einer begleitenden Software zur laufenden Nachweisführung, fertigen Richtlinien, einem eigenen E-Learning-Portal für die verpflichtenden Mitarbeiterschulungen und einem Management-Dashboard mit jederzeitigem Überblick über Umsetzungsstand, Fristen und offene Nachweise. Damit deckt CONSUVATION genau die Punkte ab, an denen die Studien die größten Reibungsverluste identifizieren: Betroffenheit wird rechtssicher geklärt, Nachweisführung wird zur Software-Funktion statt zur manuellen Fleißarbeit, Awareness- und Meldepflichten werden über das E-Learning-Portal nachweisbar geschult, und die Geschäftsleitung behält über das Dashboard jederzeit den Überblick. Auf Wunsch geht CONSUVATION noch einen Schritt weiter: Unternehmen melden Sicherheitsvorfälle direkt über die Plattform, CONSUVATION übernimmt als externe NIS-2-Beauftragte die fristgerechte Abwicklung der Meldeprozesse gegenüber den Behörden – NIS-2 als geführter Prozess statt als Dauerbaustelle.

So werden aus abstrakten Pflichten funktionierende Abläufe – und aus Unternehmen, die sich über NIS-2 sorgen, Unternehmen, die NIS-2 im Alltag beherrschen, spürbar schneller als im Alleingang.

Peter Rentschler, Geschäftsführer, CONSUVATION GmbH – Experte für Informationssicherheit mit über 25 Jahren Erfahrung

Weiterführende Informationen rund um NIS-2 – von der Betroffenheitsprüfung über die gesetzlichen Grundlagen bis zu Praxisbeiträgen – finden Interessierte fortlaufend aktualisiert unter nis2-richtlinie.de, dem NIS-2-Informationsportal von CONSUVATION.

Über CONSUVATION

Die CONSUVATION GmbH mit Sitz in Sindelfingen berät Unternehmen zu Informationssicherheit, Datenschutz und Compliance – von NIS-2 über ISO 27001, ISO 27701, ISO 22301 und TISAX (Beratung/Vorbereitung) bis CADIS. Kern des Leistungsangebots ist eine durchgängige IT-Lösung aus Prozessmodell, Software, Richtlinien, E-Learning-Portal und Management-Dashboard. Geschäftsführer Peter Rentschler verfügt über mehr als 25 Jahre Erfahrung in der Informationssicherheit, zählt zu den Pionieren der BS-7799-Auditierung, ist CISA-, CISM-, CRISC- und CGEIT-zertifiziert und wirkt aktiv in den ISO-Normungsgremien für ISO 27001 und ISO 27701 mit. CONSUVATION agiert im Auftrag von Zertifizierungsstellen wie DEKRA als Auditor für ISO 27001, ISO 27701, ISO 22301 und ISO 9001 sowie als exklusiver DEKRA-Partner für CADIS®.

Pressekontakt

CONSUVATION GmbH

Peter Rentschler, Geschäftsführer

Tilsiter Str. 6 · D-71065 Sindelfingen

Tel.: +49 (0) 7031.4181-860

E-Mail: contact@consuvation.com